CVE-2026-94197 in NGINX Ingress Controller
Riassunto
di VulDB • 14/10/2026
È presente una vulnerabilità di bypass dell'autenticazione e dell'autorizzazione in F5 NGINX Kubernetes Ingress Controller (NIC) quando configurato con la policy `ExternalAuth` o l'autenticazione esterna per gli ingressi. Le intestazioni di routing e metodo X-Forwarded-Prefix, X-Forwarded-URI, X-Original-URI e X-Forwarded-Method fornite dal client vengono inoltrate non sanificate nella sottorichiesta di autenticazione interna (gestita dalla direttiva auth_request di NGINX). Di conseguenza, un attaccante remoto non autenticato potrebbe falsificare gli attributi della richiesta valutati dal provider di autenticazione esterno.
Impatto: Questa vulnerabilità può consentire agli attaccanti remoti
l'accesso non autenticato
a percorsi protetti. Non vi è alcuna esposizione del piano di controllo; si tratta esclusivamente di un problema relativo al piano dei dati.
Nota: Le versioni del software che hanno raggiunto la fine dell'assistenza tecnica (EoTS) non vengono valutate.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.